Un ingeniero de seguridad debe ejecutar una plantilla de AWS CloudFormation que aprovisiona infraestructura para un stack de producción con servidores web y una base de datos MySQL. La plantilla ha sido validada en preproducción. La ejecución en producción debe seguir el principio de privilegio mínimo y mantener la separación de funciones entre la cuenta de IAM del ingeniero y CloudFormation. ¿Qué enfoque cumple estos requisitos?

La opción correcta utiliza IAM Access Analyzer para generar una política de privilegios mínimos para el rol de CloudFormation, lo que garantiza que solo tenga los permisos necesarios para aprovisionar los recursos del stack. Luego, el ingeniero recibe el permiso PassRole, lo que le permite pasar este rol de ejecución a CloudFormation sin tener permisos excesivos en su propia cuenta. Esto mantiene la separación de funciones y el principio de privilegio mínimo. Las otras opciones otorgan permisos excesivos al rol de CloudFormation (ec2:, rds:) o directamente al ingeniero, lo que viola el principio de privilegio mínimo y la separación de funciones. La simulación de políticas es útil, pero no reemplaza la generación de políticas de privilegios mínimos.